Microsoft está preparando un importante cambio de seguridad para los clientes de correo en la nube, ya que Exchange Online avanza hacia la eliminación de la autenticación básica SMTP AUTH para todos los inquilinos. Este cambio apunta a uno de los métodos más antiguos y débiles para iniciar sesión en sistemas de correo electrónico, donde los nombres de usuario y contraseñas se envían en texto claro que los atacantes pueden robar fácilmente.

Microsoft está preparando un cambio de seguridad importante para los clientes de correo en la nube, ya que Exchange Online avanza hacia la eliminación de la autenticación básica SMTP AUTH para todos los inquilinos.

Este cambio apunta a uno de los métodos más antiguos y débiles para iniciar sesión en sistemas de correo, donde los nombres de usuario y contraseñas se envían en texto claro, lo que los atacantes pueden robar fácilmente si el tráfico es interceptado o las credenciales son reutilizadas.

Durante años, los actores de amenazas han abusado de SMTP AUTH con autenticación básica para fuerza bruta de contraseñas, ejecutar campañas de rociado de contraseñas (password spraying) y secuestrar cuentas para enviar phishing y spam a gran escala.

En respuesta a este abuso continuo, los investigadores de Microsoft identificaron la autenticación básica para SMTP como un punto débil persistente en muchos inquilinos, especialmente donde aplicaciones, dispositivos y scripts heredados aún dependen de protocolos antiguos que no admiten controles de seguridad modernos.

Una vez que los atacantes obtienen credenciales válidas para SMTP AUTH, pueden enviar correos como un usuario de confianza, eludiendo muchos filtros de seguridad y dañando la reputación y la capacidad de entrega de correos de una organización.

Esto convierte la eliminación de la autenticación básica no solo en una limpieza de protocolos, sino en un paso crítico para fortalecer el correo en la nube.

Los analistas de Microsoft señalaron además que los inicios de sesión básicos con SMTP AUTH suelen carecer de salvaguardas fuertes, como la autenticación multifactor (MFA) y el acceso condicional, dejando a las organizaciones expuestas incluso cuando otras partes de su entorno están protegidas.

Dado que la autenticación básica SMTP AUTH suele estar habilitada "solo para que las cosas funcionen" en impresoras, sistemas de línea de negocio y herramientas de terceros, se ha convertido en un objetivo favorito para los atacantes que buscan el eslabón más débil.

Al forzar el abandono de la autenticación básica, Microsoft busca cerrar esta brecha de seguridad de larga data antes de que más inquilinos sufran la toma de control de cuentas y compromisos posteriores.

Según la línea de tiempo actualizada, la autenticación básica SMTP AUTH permanecerá sin cambios hasta diciembre de 2026, dando a las organizaciones tiempo para descubrir y modernizar todos los flujos de trabajo que aún dependen de ella.

A finales de diciembre de 2026, se desactivará de forma predeterminada para los inquilinos existentes, aunque los administradores aún podrán volver a habilitarla temporalmente mientras completan las migraciones.

Para los nuevos inquilinos creados después de diciembre de 2026, la autenticación básica SMTP AUTH no estará disponible de forma predeterminada, siendo la autenticación moderna basada en OAuth el método compatible.

Mecanismo de infección: Cómo los atacantes abusan de SMTP AUTH básico

En la práctica, los atacantes tratan la autenticación básica SMTP AUTH como un punto de entrada fácil en lugar de una vía tradicional de infección por malware.

Suelen utilizar herramientas automatizadas para realizar rociado de contraseñas y relleno de credenciales contra endpoints SMTP, probando grandes conjuntos de contraseñas débiles o reutilizadas en muchas cuentas hasta que una tiene éxito.

Una vez que encuentran credenciales válidas, se autentican mediante SMTP con autenticación básica y comienzan a enviar mensajes de phishing o compromiso de correo empresarial (BEC) en gran volumen, que parecen provenir del interior de la organización de la víctima.

A partir de ahí, el correo malicioso puede incluir enlaces a cargas útiles, robar más credenciales o engañar a los usuarios para que realicen pagos fraudulentos, convirtiendo un protocolo débil en un canal de compromiso amplio.

Fuentes:
https://cybersecuritynews.com/microsoft-exchange-online-to-deprecate-smtp-auth/